Amazon Elasticsearch Service 中的精细访问控制

查看当前租户或更改租户

1. 导航到 Kibana 并进行登录。

2. 选择 Tenants (租户)。

3. 在创建可视化内容或控制面板之前验证租户。如果您想与所有其他 Kibana 用户共享您的工作，请选择 Global (全球)。要与一部分 Kibana 用户共享您的工作，请选择其他共享租户。否则，请选择 Private (私有)。

开始使用精细访问控制

1. 使用以下设置创建域：

   • Elasticsearch 7.4

   • 公有访问权限

   • 已启用精细访问控制，并将 IAM 角色作为主用户（在本教程的其余内容中，为 IAMMasterUserRole）

   • 已启用用于 Kibana 的 Amazon Cognito 身份验证

   • 以下访问策略：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": [
               "*"
             ]
           },
           "Action": [
             "es:ESHttp*"
           ],
           "Resource": "arn:aws:es:region:account:domain/domain-name/*"
         }
       ]
     }

   • 所有到达域的流量所需的 HTTPS

   • 节点到节点加密

   • 静态数据加密

2. 导航到 IAM 控制台，然后选择 Roles (角色)。

3. 选择 IAMMasterUserRole，然后选择 Trust relationships (信任关系) 选项卡。

4. 选择 Edit trust relationship (编辑信任关系)，并确保 Amazon Cognito 身份池可代入该角色。您应看到以下语句：

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Principal": {
         "Federated": "cognito-identity.amazonaws.com"
       },
       "Action": "sts:AssumeRoleWithWebIdentity",
       "Condition": {
         "StringEquals": {
           "cognito-identity.amazonaws.com:aud": "identity-pool-id"
         },
         "ForAnyValue:StringLike": {
           "cognito-identity.amazonaws.com:amr": "authenticated"
         }
       }
     }]
   }

5. 选择 Update Trust Policy。

6. 将相同的信任策略添加到第二个 IAM 角色（对于本教程的其余部分，为 IAMLimitedUserRole）。

7. 导航到 Amazon Cognito 控制台，然后选择 Manage User Pools (管理用户池)。

8. 选择您的用户池，然后选择 Users and groups (用户和组)。

9. 选择 Create user (创建用户)，指定用户名 master-user 和密码，然后选择 Create user (创建用户)。

10. 创建另一个名为 limited-user 的用户。

11. 选择 Groups (组) 选项卡，然后选择 Create group (创建组)。

12. 将组命名为 master-user-group，选择 IAM role (IAM 角色) 下拉列表中的 IAMMasterUserRole，然后选择 Create group (创建组)。

13. 创建另一个名为 limited-user-group 的组，该组使用 IAMLimitedUserRole。

14. 选择 master-user-group，再选择 Add users (添加用户)，然后添加 master-user。

15. 选择 limited-user-group，再选择 Add users (添加用户)，然后添加 limited-user。

16. 选择 App client settings (应用程序客户端设置)，并记下域的应用程序客户端 ID。

17. 选择 Federated Identities (联合身份)，再选择您的身份池，然后选择 Edit identity pool (编辑身份池)。

18. 展开 Authentication providers (身份验证提供商)，查找域的用户池 ID 和应用程序客户端 ID，然后将 Use default role (使用默认角色) 更改为 Choose role from token (从令牌中选择角色)。

19. 对于 Role resolution (角色解析)，选择 DENY (拒绝)。在使用此设置时，用户必须位于组中才能在身份验证后接收 IAM 角色。

20. 选择 Save Changes。

21. 导航到 Kibana。

22. 使用 master-user 进行登录。

23. 选择 Try our sample data (试用我们的示例数据)。

24. 添加示例飞行数据。

25. 依次选择 Security (安全性)、Roles (角色)、Add a new role (添加新角色)。

26. 将角色命名为 new-role，然后选择 Index Permissions (索引权限)。

27. 选择 Add index permissions (添加索引权限)，然后为索引模式指定 kibana_sample_data_fli*。

28. 依次选择 Add Action (添加操作) 和 read (读取)。

29. 对于 Document Level Security Query (文档级安全查询)，请指定以下查询：

    {
      "match": {
        "FlightDelay": true
      }
    }

    然后选择 Test DLS query syntax (测试 DLS 查询语法)。

30. 对于 Include or exclude fields (包含或排除字段)，选择 Exclude fields (排除字段)，然后选择 Add Field (添加字段).指定 FlightNum。

31. 对于 Anonymize fields (匿名化字段)，选择 Add Field (添加字段)。指定 Dest。

32. 选择 Save Role Definition (保存角色定义)。

33. 依次选择 Back (返回)、Role Mappings (角色映射)、Add a new role mapping (添加新角色映射)。

34. 对于 Role (角色)，选择 new-role。选择 Add Backend Role (添加后端角色)，然后为 IAMLimitedUserRole 指定 ARN。然后，选择 Submit (提交)。

35. 再次选择 Add a new role mapping (添加新角色映射)。

36. 对于 Role (角色)，选择 kibana_user。选择 Add Backend Role (添加后端角色)，然后为 IAMLimitedUserRole 指定 ARN。然后，选择 Submit (提交)。

37. 在新的私有浏览器窗口中，导航到 Kibana，使用 limited-user 进行登录，然后选择 Explore on my own (自行浏览)。

38. 选择 Dev Tools (开发人员工具)，然后运行默认搜索：

    GET _search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意权限错误。limited-user 没有运行集群范围内搜索的权限。

39. 运行另一个搜索：

    GET kibana_sample_data_flights/_search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意，在所有匹配的文档中，有一个为 true 的 FlightDelay 字段，一个匿名化的 Dest 字段，但没有 FlightNum 字段。

40. 在原始浏览器窗口中，以 master-user 身份登录，选择 Dev Tools (开发人员工具)，然后执行相同的搜索。请注意权限、命中数、匹配文档和包含字段的差异。

开始使用精细访问控制

1. 使用以下设置创建域：

   • Elasticsearch 7.4

   • 公有访问权限

   • 对内部用户数据库中的主用户的精细访问控制（对于本教程的其余部分，为 TheMasterUser）

   • 已禁用 用于 Kibana 的 Amazon Cognito 身份验证

   • 以下访问策略：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": [
               "*"
             ]
           },
           "Action": [
             "es:ESHttp*"
           ],
           "Resource": "arn:aws:es:region:account:domain/domain-name/*"
         }
       ]
     }

   • 所有到达域的流量所需的 HTTPS

   • 节点到节点加密

   • 静态数据加密

2. 导航到 Kibana。

3. 使用 TheMasterUser 进行登录。

4. 选择 Try our sample data (试用我们的示例数据)。

5. 添加示例飞行数据。

6. 依次选择 Security (安全性)、Internal User Database (内部用户数据库)、Add a new internal user (添加新的内部用户)。

7. 将用户命名为 new-user，指定密码，并为用户提供后端角色 new-backend-role。然后，选择 Submit (提交)。

8. 依次选择 Back (返回)、Roles (角色)、Add a new role (添加新角色)。

9. 将角色命名为 new-role，然后选择 Index Permissions (索引权限)。

10. 选择 Add index permissions (添加索引权限)，然后为索引模式指定 kibana_sample_data_fli*。

11. 依次选择 Add Action Group (添加操作组)、read (读取)。

12. 对于 Document Level Security Query (文档级安全查询)，请指定以下查询：

    {
      "match": {
        "FlightDelay": true
      }
    }

    然后选择 Test DLS query syntax (测试 DLS 查询语法)。

13. 对于 Include or exclude fields (包含或排除字段)，选择 Exclude fields (排除字段)，然后选择 Add Field (添加字段).指定 FlightNum。

14. 对于 Anonymize fields (匿名化字段)，选择 Add Field (添加字段)。指定 Dest。

15. 选择 Save Role Definition (保存角色定义)。

16. 依次选择 Back (返回)、Role Mappings (角色映射)、Add a new role mapping (添加新角色映射)。

17. 对于 Role (角色)，选择 new-role。选择 Add Backend Role (添加后端角色)，然后指定 new-backend-role。然后，选择 Submit (提交)。

18. 再次选择 Add a new role mapping (添加新角色映射)。

19. 对于 Role (角色)，选择 kibana_user。选择 Add User (添加用户)，然后指定 new-user。然后，选择 Submit (提交)。

    仅 new-user 具有 kibana_user 角色，但所有具有 new-backend-role 后端角色的用户都具有 new-role 角色。

20. 在新的私有浏览器窗口中，导航到 Kibana，使用 new-user 进行登录，然后选择 Explore on my own (自行浏览)。

21. 选择 Dev Tools (开发人员工具)，然后运行默认搜索：

    GET _search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意权限错误。new-user 没有运行集群范围内搜索的权限。

22. 运行另一个搜索：

    GET kibana_sample_data_flights/_search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意，在所有匹配的文档中，有一个为 true 的 FlightDelay 字段，一个匿名化的 Dest 字段，但没有 FlightNum 字段。

23. 在原始浏览器窗口中，以 TheMasterUser 身份登录，选择 Dev Tools (开发人员工具)，然后执行相同的搜索。请注意权限、命中数、匹配文档和包含字段的差异。

修改主用户（控制台）

1. 转至 https://aws.amazon.com，然后选择 Sign In to the Console (登录控制台)。

2. 在 Analytics (分析) 下，选择 Elasticsearch Service。

3. 选择您的域。

4. 依次选择 Actions (操作) 和 Modify master user (修改主用户)。

5. 选择 Set IAM role as master user (将 IAM 角色设置为主用户) 或 Create new master user (创建新的主用户)。

   • 如果您之前使用了 IAM 主用户，则精细访问控制会将 all_access 角色重新映射到您指定的新 IAM ARN。

   • 如果您之前使用了内部用户数据库，则精细访问控制会创建一个新的主用户。您可以使用新的主用户删除旧的主用户。

6. 选择 Submit。